搜索

[8367] 2014-10-21_阿里巴巴移动安全分析报告：97%的APP存在安全漏洞

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-17
2014-10-21_阿里巴巴移动安全分析报告：97%的APP存在安全漏洞 阿 里 巴 巴 移 动 安 全 分 析 报 告 ： 9 7 % 的 A P P 存 在 安 全 漏 洞 J a s o n _ H Z   F r e e B u f   2 0 1 4 - 1 0 - 2 1 前 言 前 言 随 着 移 动 互 联 网 的 发 展 和 智 能 手 机 的 普 及 ， 基 于 随 着 移 动 互 联 网 的 发 展 和 智 能 手 机 的 普 及 ， 基 于 a n d r o i d 系 统 的 各 类 系 统 的 各 类 a p p 出 现 爆 发 式 增 长 ， 但 在 增 长 的 同 时 ， 一 个 不 容 出 现 爆 发 式 增 长 ， 但 在 增 长 的 同 时 ， 一 个 不 容 忽 视 的 问 题 越 来 越 重 要 ： 安 全 。 忽 视 的 问 题 越 来 越 重 要 ： 安 全 。 漏 洞 扫 描 方 式 主 要 分 为 静 态 和 动 态 ， 静 态 扫 描 的 漏 洞 类 型 主 要 包 含 S Q L 注 入 风 险 、 w e b v i e w 系 列 、 文 件 模 式 配 置 错 误 、 h t t p s 不 校 验 证 书 、 d a t a b a s e 配 置 错 误 等 。 动 态 扫 描 的 漏 洞 类 型 主 要 包 含 拒 绝 服 务 攻 击 、 文 件 目 录 遍 历 漏 洞 、 f i l e 跨 域 访 问 等 。 本 报 告 选 取 本 报 告 选 取 1 1 类 类 a n d r o i d   a p p 中 同 等 数 量 的 热 门 中 同 等 数 量 的 热 门 a p p ， 其 活 跃 用 户 量 可 覆 盖 ， 其 活 跃 用 户 量 可 覆 盖 8 3 % 的 移 动 端 网 民 ， 根 据 阿 里 巴 巴 移 动 安 全 的 移 动 端 网 民 ， 根 据 阿 里 巴 巴 移 动 安 全 中 心 对 这 些 中 心 对 这 些 a p p 的 漏 洞 检 测 ， 得 到 以 下 结 论 ： 的 漏 洞 检 测 ， 得 到 以 下 结 论 ： 参 与 检 测 的 a n d r o i d   a p p 中 ， 近 9 7 % 的 的 a p p 都 存 在 漏 洞 问 题 都 存 在 漏 洞 问 题 ， 且 平 均 漏 洞 量 高 达 4 0 个 个 。 安 全 类 安 全 类 a p p 漏 洞 问 题 最 多 漏 洞 问 题 最 多 ， 其 漏 洞 总 量 4 9 9 个 ， 占 所 有 类 别 a p p 漏 洞 总 量 的 2 1 % 。 新 闻 、 旅 游 类 新 闻 、 旅 游 类 a p p 相 对 最 不 安 全 相 对 最 不 安 全 ， 其 各 自 漏 洞 总 量 约 2 4 0 个 ， 且 其 中 高 危 漏 洞 量 占 比 3 0 % 。 游 戏 类 a p p 相 对 最 安 全 ， 漏 洞 总 量 约 5 7 个 ， 且 其 中 高 危 漏 洞 占 比 约 2 % 。 从 测 试 结 果 来 看 ， a n d r o i d   a p p 的 安 全 问 题 不 容 乐 观 ， 漏 洞 的 存 在 尤 其 是 高 危 漏 洞 ， 会 对 a p p 开 发 者 甚 至 用 户 带 来 较 大 影 响 ， 如 何 提 前 发 现 潜 在 风 险 、 保 护 开 发 者 和 用 户 的 利 益 是 阿 里 巴 巴 移 动 安 全 团 队 一 直 坚 持 的 责 任 。 一 、 一 、 A n d r o i d   A P P 漏 洞 现 状 漏 洞 现 状 为 了 解 a n d r o i d   a p p 的 总 体 现 状 ， 报 告 中 将 a p p 归 纳 为 1 1 个 类 别 ： 健 康 、 娱 乐 、 安 全 、 教 育 、 新 闻 、 旅 游 、 游 戏 、 社 交 、 购 物 、 金 融 、 阅 读 。 选 取 1 1 类 a p p 中 等 量 热 门 a p p ， 并 使 用 阿 里 巴 巴 聚 安 全 的 漏 洞 扫 描 产 品 进 行 静 态 和 动 态 检 测 ， 扫 描 结 果 如 下 ： 从 漏 洞 类 别 来 看 ， a n d r o i d   a p p 漏 洞 中 排 在 首 位 的 是 s q l 注 入 类 漏 洞 ， 占 比 3 8 . 2 % ， 其 次 是 w e b v i e w 漏 洞 ， 占 比 3 5 . 4 % ， 见 左 图 。 从 漏 洞 风 险 级 别 来 看 ， a n d r o i d   a p p 中 高 危 漏 洞 占 2 0 . 7 % ， 低 危 漏 洞 占 7 9 . 3 % ， 其 中 高 危 漏 洞 主 要 集 中 在 w e b v i e w 系 列 和 h t t p s 证 书 未 校 验 上 。
S Q L 注 入 类 漏 洞 占 比 3 8 . 2 % ， 主 要 是 代 码 中 未 过 滤 用 户 输 入 ， 攻 击 者 可 通 过 提 交 恶 意 s q l 查 询 语 句 达 到 其 作 恶 目 的 。 S q l 注 入 虽 大 部 分 属 于 中 低 危 漏 洞 ， 但 仍 可 造 成 敏 感 数 据 、 系 统 最 高 权 限 被 窃 取 等 问 题 。 W e b v i e w 的 一 些 高 危 漏 洞 ， 主 要 由 代 码 中 使 用 a d d J a v a s c r i p t I n t e r f a c e 等 危 险 函 数 、 使 用 不 校 验 证 书 等 因 素 导 致 。 这 些 漏 洞 可 远 程 执 行 代 码 ， 对 用 户 远 程 安 装 恶 意 软 件 。 H t t p s 相 关 的 高 危 漏 洞 ， 主 要 由 h t t p s 使 用 A L L O W _ A L L _ H O S T N A M E _ V E R I F I E R 等 参 数 校 验 证 书 ， 没 有 对 主 机 等 信 息 进 行 校 验 导 致 ， 这 些 漏 洞 会 引 发 攻 击 者 轻 易 劫 持 h t t p s 会 话 、 嗅 探 用 户 密 码 和 其 他 敏 感 信 息 等 问 题 。 高 危 漏 洞 潜 藏 着 巨 大 的 安 全 问 题 ， 但 从 测 试 结 果 来 看 ， 很 多 a n d r o i d   a p p 都 存 在 高 危 漏 洞 问 题 ， 其 安 全 性 令 人 担 忧 。 二 、 二 、 A n d r o i d   A P P 漏 洞 问 题 分 析 漏 洞 问 题 分 析 本 章 将 对 a p p 的 漏 洞 扫 描 结 果 进 一 步 分 析 ， 首 先 将 分 析 漏 洞 的 静 态 和 动 态 检 测 结 果 ， 其 次 将 总 结 归 纳 漏 洞 产 生 的 原 因 。 2 . 1 各 类 别 各 类 别 a p p 漏 洞 情 况 分 析 漏 洞 情 况 分 析 2 . 1 . 1 . 漏 洞 的 静 态 扫 描 结 果 分 析 漏 洞 的 静 态 扫 描 结 果 分 析 使 用 阿 里 巴 巴 聚 安 全 的 漏 洞 扫 描 产 品 ， 对 1 1 个 类 别 同 等 数 量 的 热 门 a p p 进 行 静 态 扫 描 ， 各 类 a p p 的 安 全 情 况 不 尽 相 同 ： 参 与 测 试 的 a p p 中 近 9 7 % 的 a p p 都 有 安 全 漏 洞 ， 且 平 均 漏 洞 量 达 4 0 个 。 安 全 类 a p p 漏 洞 问 题 最 多 。 在 检 测 到 的 所 有 漏 洞 中 ， 安 全 类 a p p 的 漏 洞 总 量 多 达 4 9 9 个 ( 约 占 总 漏 洞 量 2 1 % ) ， 其 中 高 风 险 漏 洞 占 比 约 2 % ， 整 体 而 言 ， 即 便 是 安 全 类 a p p ， 亦 存 在 较 多 的 安 全 问 题 。 新 闻 、 旅 游 类 a p p 相 对 最 不 安 全 新 闻 、 旅 游 类 a p p 漏 洞 总 量 均 超 2 3 0 个 ( 约 占 总 漏 洞 量 的 1 0 % ) ， 且 其 中 高 风 险 漏 洞 量 占 比 高 达 3 0 % ， 在 所 有 a p p 中 相 对 最 不 安 全 。
游 戏 类 a p p 相 对 最 安 全 游 戏 类 a p p 无 论 是 漏 洞 总 量 ， 或 是 其 中 的 高 风 险 漏 洞 占 比 均 较 少 ， 在 所 有 a p p 中 相 对 最 安 全 。 2 . 1 . 2   漏 洞 的 动 态 扫 描 结 果 分 析 漏 洞 的 动 态 扫 描 结 果 分 析 使 用 阿 里 巴 巴 聚 安 全 的 漏 洞 扫 描 产 品 ， 对 1 1 个 类 别 同 等 数 量 的 热 门 a p p 进 行 动 态 扫 描 ， 扫 描 结 果 几 乎 都 是 拒 绝 服 务 攻 击 类 漏 洞 ， 未 发 现 文 件 目 录 遍 历 、 f i l e 跨 域 访 问 等 漏 洞 。 从 以 下 数 据 图 可 以 看 出 ， 各 类 别 a p p 或 多 或 少 都 存 在 拒 绝 服 务 攻 击 漏 洞 ， 尤 其 以 金 融 类 ( 3 7 个 ) 、 娱 乐 类 ( 3 5 个 ) ， 购 物 类 ( 3 2 个 ) ， 安 全 类 ( 2 8 个 ) 为 重 ， 而 游 戏 类 的 拒 绝 服 务 攻 击 漏 洞 总 量 相 对 最 少 ( 3 个 ) 。 拒 绝 服 务 漏 洞 其 实 是 组 件 暴 露 问 题 ， 组 件 一 旦 被 暴 露 ， 特 定 的 恶 意 数 据 就 可 写 入 组 件 ， 从 而 导 致 该 a p p 崩 溃 ， 造 成 拒 绝 服 务 ， 进 而 影 响 a p p 开 发 者 和 用 户 的 利 益 。 2 . 1 . 3   总 结 总 结 以 上 分 析 数 据 说 明 a n d r o i d 类 a p p 的 安 全 问 题 并 不 容 乐 观 ， 需 要 进 一 步 探 究 造 成 漏 洞 的 原 因 以 及 解 决 方 案 ， 以 尽 量 避 免 漏 洞 的
产 生 及 弥 补 安 全 问 题 带 来 的 影 响 。 2 . 2   A p p 漏 洞 原 因 分 析 漏 洞 原 因 分 析 A n d r o i d   a p p 的 漏 洞 类 型 很 多 ， 如 S Q L 注 入 、 w e b v i e w 系 列 漏 洞 、 文 件 模 式 配 置 错 误 、 H T T P S 不 校 验 证 书 、 拒 绝 服 务 攻 击 等 ， 造 成 漏 洞 的 原 因 可 以 归 结 为 以 下 两 类 ： 2 . 2 . 1 A p p 开 发 者 自 身 的 问 题 开 发 者 自 身 的 问 题 a ) 编 码 不 规 范 很 多 公 司 对 编 码 规 范 没 有 要 求 ， 或 a p p 开 发 者 没 有 按 照 编 码 规 范 来 进 行 编 码 ， 容 易 导 致 敏 感 信 息 泄 露 ， 比 如 日 志 打 印 问 题 、 在 发 行 版 本 中 没 有 关 闭 日 志 打 印 功 能 等 。 b ) 安 全 意 识 不 够 很 多 a n d r o i d 函 数 的 参 数 需 慎 用 ， 如 常 用 函 数 o p e n F i l e O u t p u t ， 如 果 设 置 m o d e 参 数 为 C o n t e x t . M O D E _ W O R L D _ R E A D A B L E 或 者 C o n t e x t . M O D E _ W O R L D _ W R I T E A B L E ， 就 容 易 泄 露 a n d r o i d   a p p 的 数 据 。 另 外 ， 接 口 处 理 需 要 更 加 严 谨 ， 例 如 暴 露 了 一 个 接 口 ， 允 许 运 行 用 户 输 入 的 信 息 ， 若 对 信 息 未 做 任 何 处 理 ， 就 容 易 引 起 拒 绝 服 务 攻 击 等 安 全 问 题 。 2 . 2 . 2 A n d r o i d 上 上 0 d a y 的 发 现 的 发 现 A n d r o i d 上 0 d a y 的 发 现 ， 可 导 致 a n d r o i d   a p p 以 前 安 全 的 功 能 变 得 不 安 全 ， 在 a n d r o i d 系 统 没 有 补 丁 的 情 况 下 ， 需 及 时 在 a n d r o i d a p p 上 打 补 丁 ， 但 鉴 于 很 多 a n d r o i d   a p p 开 发 者 对 漏 洞 信 息 不 敏 感 等 原 因 ， 并 未 做 到 及 时 修 补 ， 从 而 导 致 漏 洞 的 存 在 。 总 之 ， A n d r o i d   a p p 的 安 全 问 题 ， 很 大 程 度 上 可 能 是 开 发 者 犯 下 的 低 级 错 误 。 较 为 有 效 的 解 决 办 是 能 够 在 代 码 编 写 过 程 中 使 用 S D L 编 码 流 程 ， 同 时 使 用 漏 洞 扫 描 产 品 对 a p p 进 行 检 测 ， 不 断 修 补 自 身 a p p 的 安 全 问 题 。 安 全 无 小 事 ， 所 有 a p p 开 发 者 都 应 重 视 。 三 、 总 结 三 、 总 结 本 次 检 测 采 用 了 1 1 个 类 别 a p p 中 同 等 数 量 的 热 门 a p p ， 共 扫 描 出 近 2 5 0 0 个 漏 洞 ， 平 均 每 个 a n d r o i d   a p p 有 4 0 个 安 全 漏 洞 ， 且 约 9 7 % 的 测 试 a p p 或 多 或 少 都 存 在 安 全 漏 洞 。 这 些 数 据 反 映 出 a n d r o i d   a p p 漏 洞 问 题 的 严 峻 性 ， 在 a p p 市 场 上 ， 很 多 a n d r o i d   a p p 都 存 在 潜 在 的 安 全 风 险 ， 一 旦 被 利 用 ， 会 给 用 户 和 开 发 者 带 来 很 大 影 响 。 从 漏 洞 检 测 结 果 来 看 ， a n d r o i d   a p p 的 漏 洞 问 题 不 容 乐 观 ， 这 些 问 题 是 否 可 以 规 避 ？ 是 否 有 自 动 化 的 漏 洞 扫 描 产 品 供 a p p 开 发 者 使 用 ？ 是 否 可 以 降 低 开 发 者 和 用 户 的 利 益 受 损 程 度 ？   答 案 是 肯 定 的 ， 除 了 加 强 a p p 开 发 者 的 安 全 意 识 ， 在 a p p 发 布 之 前 利 用 安 全 产 品 进 行 漏 洞 扫 描 检 测 可 以 及 早 发 现 隐 含 的 安 全 问 题 ， 保 护 开 发 者 利 益 ， 保 护 用 户 利 益 。 推 广 如 何 提 前 发 现 潜 在 风 险 、 保 护 广 大 开 发 者 和 用 户 的 利 益 是 阿 里 巴 巴 移 动 安 全 团 队 一 直 坚 持 的 责 任 ， 产 品 将 于 2 0 1 4 年 1 0 月 2 2 日 正 式 对 外 发 布 ， 敬 请 期 待 ， 更 多 动 态 请 关 注 阿 里 巴 巴 移 动 安 全 团 队 官 方 微 博 h t t p : / / w e i b o . c o m / a l i m o b i l e s e c u r i t y 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理